CVE-2026-65606

v3.7.2 öncesindeki SiYuan, siyuan:// protokol işleyicisinde bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Bir siyuan://plugins/<name> bağlantısı yüklü olmayan bir eklenti adına referans verdiğinde, uygulama özel bir sekme açar ve bağlantının icon parametresini kaçış karakterlerini kullanmadan innerHTML aracılığıyla sekme başlığına ekler (app/src/layout/Tab.ts); bu durum bir <img onerror=...> öğesinin enjekte edilmesine olanak tanır. SiYuan Masaüstü oluşturucusu nodeIntegration:true ile çalıştığından, enjekte edilen JavaScript, Node'un require fonksiyonuna erişebilir ve require('child_process').execSync(...) komutunu çağırabilir; böylece siteler arası betik çalıştırma zafiyeti, rastgele işletim sistemi komutu çalıştırılmasına dönüştürülerek yetki yükseltilebilir.